防护墙F1010

正常不会出现 DHCP 交叉分配，但存在两类风险，需针对性配置规避。
一、基础逻辑说明
接口与 DHCP 池一一绑定，dhcp select server 基于入接口 + VLAN区分地址池，终端从哪个接口接入，只会获取该接口绑定网段的 IP，不会跨池分配。
你两个接口分属 trust、trust1 不同安全域，双向放通到local域，仅代表互通权限，不会干扰 DHCP 地址分配逻辑。
二、两种潜在问题（重点防范）
1. 非法 DHCP 服务器串扰（最常见）
两个内网网段互通后，若其中一个网段内存在私接路由器 / 非法 DHCP，会跨网段抢地址；即使都是合法池，终端广播 DHCP 报文会被转发到另一个接口，存在冲突隐患。
解决：开启 DHCP Snooping + 接口信任配置
plaintext
# 全局开启DHCP Snooping
dhcp-snooping

# 连接终端的业务口 设为非信任（拒绝外来DHCP报文）
interface GigabitEthernet 1/0/1
dhcp-snooping untrusted
interface GigabitEthernet 1/0/2
dhcp-snooping untrusted

# 自身本地域/上行口（如有）设为trust，本设备DHCP正常下发
2. 终端跨接口漫游 / 二层打通引发异常
如果两个接口二层互通（同 VLAN、交换机透传），DHCP 广播域合并，两个地址池会互相干扰，出现 IP 分配混乱。
解决：
两个接口配置为 三层接口，禁止二层互通；
不要把两个接口划入同一个 VLAN。
三、补充配置校验（F1010 V7 通用）
标准 DHCP 绑定示例（一一对应，杜绝交叉）
plaintext
# 接口1：192.168.1.0/24
interface GigabitEthernet 1/0/1
port link-mode route
ip address 192.168.1.1 255.255.255.0
dhcp select server global-pool pool1

# 接口2：192.168.2.0/24
interface GigabitEthernet 1/0/2
port link-mode route
ip address 192.168.2.1 255.255.255.0
dhcp select server global-pool pool2

# 地址池
dhcp server ip-pool pool1
network 192.168.1.0 mask 255.255.255.0
gateway-list 192.168.1.1

dhcp server ip-pool pool2
network 192.168.2.0 mask 255.255.255.0
gateway-list 192.168.2.1
安全策略（你现有放行逻辑无问题）
trust、trust1 与 local 域双向放通全部流量，仅影响业务互通，不影响 DHCP 分配规则。
四、最终总结
纯三层接口 + 地址池一一绑定：不会主动出现 DHCP 交叉分配；
必做优化：开启dhcp-snooping，业务口设为非信任，拦截非法 DHCP；
红线要求：两个业务接口严禁二层打通 / 同 VLAN，否则必然乱分配；
域间放行策略无需改动。

1. 物理/逻辑隔离：你在接口 A（Trust 区域）和接口 B（Trust1 区域）上分别绑定了不同的 DHCP 全局地址池。
2. 请求识别：当接口 A 下的终端发出 DHCP 请求时，防火墙只会通过接口 A 收到这个广播报文，并自动调用绑定在接口 A 上的地址池进行分配。同理，接口 B 的终端也只会从接口 B 绑定的地址池获取 IP。
3. 安全策略的作用：你配置的 Trust -> Local 和 Local -> Trust（以及 Trust1 对应的策略）只是“放行许可证”。它的作用是允许 DHCP 请求报文进入防火墙的 CPU（Local 域）进行处理，并允许 DHCP 响应报文从防火墙发出。安全策略本身不参与 IP 地址的分配逻辑，因此不会导致地址池交叉。

 为什么会感觉“交叉”了？（常见配置误区排查）

• 检查：确认连接 Trust 网段的物理口是否加入了 Trust 域，连接 Trust1 网段的物理口是否加入了 Trust1 域。

• 检查：进入接口配置，确保选择了“使用全局地址池”并指定了正确的池子名称。

• 建议：排查时确保两个网段的终端物理线路是绝对隔离的。

• 建议：在测试切换网段时，先在终端上释放并更新 IP（Windows 下使用 ipconfig /release 和 ipconfig /renew 命令），或者断开重连 WiFi/网线，排除终端缓存的干扰。

 核心配置检查清单

• 接口 A：IP 地址为网段 A，加入 Trust 域，DHCP 绑定 Pool-A。
• 接口 B：IP 地址为网段 B，加入 Trust1 域，DHCP 绑定 Pool-B。
• 安全策略：Trust <-> Local 放行了 dhcp-client 和 dhcp-server 协议；Trust1 <-> Local 同样放行了这两个协议。